Programa de detección y regularización de IA no autorizada

Cómo usar este documento

• Para qué sirve. Es un procedimiento base para descubrir el uso de herramientas, extensiones, cuentas y modelos de IA que no pasaron por la aprobación de la organización, abrir una ventana de regularización sin sanción, decidir caso por caso y publicar un catálogo de herramientas autorizadas por tipo de dato. Su objetivo es conocer y canalizar el uso real, no castigarlo.
• Quién debe ser su dueño. El responsable de IA, con seguridad de la información para la detección técnica y con Recursos Humanos y legal para la comunicación y las consecuencias. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida qué métodos de detección usará (sección 6) y con qué base interna, la duración de la ventana de regularización (sección 7), qué herramientas entran en el catálogo inicial (sección 5) y la frecuencia de detección recurrente (sección 12).
• Selección de módulos. Elija el nivel (Básico, Estándar o Reforzado) en «Selección de módulos».
• Campos a completar. Sustituya los textos entre corchetes y complete el catálogo de la sección 5 con las herramientas ya aprobadas en el «Inventario de sistemas de IA».
• Revisión. Pida a legal o a su asesor y a Recursos Humanos que revisen los métodos de detección y las comunicaciones antes de usarlos: la supervisión de la actividad del personal tiene límites en la normativa laboral y de protección de datos de cada país, y puede exigir informar previamente al personal o a su representación.
• Aprobación y publicación. Haga que el comité de IA (o la dirección en una organización pequeña) apruebe el programa, registre la aprobación en «Control de versiones» y anuncie la ventana de regularización con el mensaje modelo de la ayuda F.

Selección de módulos

Nivel	Qué conservar
Básico (menos de ~50 personas, solo herramientas comerciales)	Núcleo del procedimiento sin los párrafos [NIVEL ESTÁNDAR] y [NIVEL REFORZADO]; detección por encuesta, revisión de gastos y aplicaciones conectadas; ventana de regularización única; ayudas A a G
Estándar	Núcleo y párrafos [NIVEL ESTÁNDAR]: detección técnica periódica y métricas trimestrales
Reforzado (sector regulado, datos de categorías especiales o perfiles P3 a P5 en producción)	Núcleo y párrafos [NIVEL ESTÁNDAR] y [NIVEL REFORZADO]: detección continua, prevención de fuga de datos y bloqueo técnico por defecto

Elimine los párrafos que no correspondan al nivel elegido.

Programa de detección y regularización de IA no autorizada

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable del programa	[RESPONSABLE]
Aprobado por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Canal de autodeclaración	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

1.1 [NOMBRE DE LA ORGANIZACIÓN] establece este programa para identificar el uso de IA que no ha sido aprobado, reducir la exposición de datos y de la organización que ese uso pueda causar y ofrecer al personal alternativas autorizadas.

1.2 El programa parte de que el uso no autorizado suele responder a una necesidad real. Por eso combina la detección con una vía sencilla para declarar y regularizar el uso, y con un catálogo claro de lo que sí está permitido.

2. Alcance

2.1 Se considera IA no autorizada cualquier herramienta, función o modelo de IA usado con información o en procesos de la organización que no figure como aprobado en el «Inventario de sistemas de IA», en particular:

a) asistentes de IA generativa usados con cuentas personales o planes de consumo;
b) extensiones de navegador, complementos de ofimática y aplicaciones móviles con funciones de IA;
c) funciones de IA activadas en software ya contratado sin evaluación previa;
d) aplicaciones de terceros con acceso concedido a cuentas corporativas (correo, calendario, documentos, repositorios);
e) suscripciones o APIs de IA pagadas con tarjetas corporativas, reembolsos de gastos o compras menores;
f) modelos de IA descargados y ejecutados en equipos o servidores de la organización, incluidos los de pesos abiertos y los programas para ejecutarlos localmente;
g) agentes y automatizaciones con IA creados por el personal en plataformas de bajo código.

2.2 Se aplica a todo el personal, contratistas y proveedores con acceso a sistemas o información de la organización.